用途：面向自管 Debian/Ubuntu SaaS 基础设施的网络层安全，用于设计、加固或审计防火墙、WAF、VPN、TLS/PKI、IDS/IPS、零信任、SSH、DDoS 缓解与 DNS 安全。与 web-app-security-audit（应用层）、cicd-devsecops（密钥/CI）互补。
主要能力：核心原则为纵深防御，覆盖第 3/4/7 层，从 nftables 规则到零信任身份感知代理。含 9 个域：主机防火墙、边缘 WAF（ModSecurity + OWASP CRS）、TLS/PKI、VPN（WireGuard/OpenVPN/IPsec）、SSH 加固与堡垒机、IDS/IPS 与 Fail2ban、DDoS 缓解、DNS 安全、零信任架构。并提供威胁模型、分层防御（边缘、网络边界、传输、应用网关、身份、服务间、运行时）、50 项审计清单与 5 个事件响应手册。
使用方式：先读 SKILL.md，再按需加载 references 下的深挖文件，按有序指引、清单和决策规则执行，而非摘取孤立片段。产出交付物时明确假设、风险与后续工作。基线加固包括 UFW/nftables 规则、内核 sysctl、SSH 配置、Fail2ban、Certbot 自动续期等；服务加固覆盖 Nginx 反代、数据库绑定回环或 WireGuard 接口、Redis 保护配置；零信任通过身份感知代理、内部 mTLS、WireGuard 私有网格落地；监控用 Suricata、Fail2ban，并将日志传出主机。
适用场景：新生产 VPS 上线前、服务暴露公网前、网络可达 CVE 披露后、季度审计、事件响应中、设计新基础设施层或从边界模型迁移到零信任时。
限制：仅覆盖自管服务器网络层，不处理应用代码漏洞（用 web-app-security-audit）、密钥/CI（用 cicd-devsecops）、网络之外的操作系统加固（用 linux-security-hardening）。